【セキュリティニュース】2026年5月26日号｜エネサンスHD36.5万件漏えい・委託先経由で東京海上日動にも波及・Microsoft定例パッチ118件

エネサンスHDへのランサムウェア攻撃、約36.5万件の顧客情報が漏えいの恐れ

エネサンスホールディングス（LPガス・石油販売業）は2026年5月、2025年10月21日に発生したシステム障害がランサムウェア被害によるものと確認されたと発表しました。外部専門家の調査により、インターネット接続口からの侵入が有力視されており、攻撃グループはQilin（キリン）によるものと見られています。

漏えいした可能性がある情報は、顧客の氏名・住所・電話番号・メールアドレス等約36万5,000件と、グループ従業員等の情報約2,000件です。2025年11月末時点でダークウェブ上にデータが掲載されていることが確認されています。

Qilinとはどのような攻撃グループか

Qilinはロシア語圏に拠点を置くとされるランサムウェア・アズ・ア・サービス（RaaS）グループです。暗号化によるデータ人質に加えて、窃取したデータを公開サイトで公開する「二重脅迫」の手口を用います。医療・エネルギー・物流分野の企業を主な標的とし、国内でも東山産業への攻撃（2026年3月）でデータ公開が確認されています。

委託先・新日本検定協会のランサムウェア被害が東京海上日動の顧客情報にも波及

東京海上日動火災保険は2026年5月11日、損害査定等の業務を委託している一般財団法人新日本検定協会がランサムウェア被害を受け、東京海上日動の顧客情報約1,500件が漏えいした可能性があると発表しました。新日本検定協会では2025年11月26日にサーバーへのアクセス不能を検知しており、外部専門業者の調査でデータが暗号化されたほかファイル転送ツールの実行痕跡が確認されています。

新日本検定協会から流出の恐れがある情報は業務関係者の氏名・住所・電話番号・メールアドレス等約3万件、従業員・退職者約300件、採用候補者約50件です。東京海上日動の顧客に関しては、契約者名・被保険者の住所・電話番号・証券番号・事故受付番号・メールアドレス等が含まれています。

委託先が狙われるサプライチェーン攻撃の構図

今回のケースは「元請け（大企業）が直接攻撃されたのではなく、業務委託先（中小の検査機関）が攻撃されて、そこに保管されていた元請けの顧客データが流出した」という典型的なサプライチェーン型インシデントです。委託先のセキュリティ水準が低い場合、元請けの個人情報保護体制が整っていても被害を防げません。

Microsoft5月定例パッチで脆弱性118件に対応、緊急16件・CVSS9.8超も複数

マイクロソフトは2026年5月12日（米国時間）、5月の月例セキュリティ更新プログラム（パッチチューズデー）を公開しました。対応した脆弱性は118件で、このうち最大深刻度「緊急」は16件です。権限昇格（57件）やリモートコード実行（29件）の脆弱性が多く含まれており、認証不要・ユーザー操作不要で悪用可能な脆弱性（CVSS 9.8以上）も複数含まれています。IPA・JPCERT/CC（at260012）はそれぞれ注意喚起を公表し、早急な適用を求めています。

5月13日時点で悪用が確認された脆弱性は報告されていませんが、定例パッチ公開後は攻撃者が差分を解析して短期間で悪用コードを作成するケースがあります。公開から2週間以内の適用が推奨されます。

TrendAI Apex Oneに悪用済みの脆弱性、JPCERT/CCが緊急注意喚起（at260014）

JPCERT/CCは2026年5月21日、トレンドマイクロのエンドポイントセキュリティ製品「TrendAI Apex One」等に複数の脆弱性が存在するとして緊急注意喚起（at260014）を公表しました。脆弱性のうちCVE-2026-34926（相対パストラバーサル）については、オンプレミス版のTrendAI Apex Oneにおいて既に悪用が確認されています。

悪用が確認された脆弱性は攻撃者が細工したコードをセキュリティエージェントに配布したり、権限を昇格させたりするために利用される可能性があります。対象製品はTrendAI Apex One（オンプレミス）・Trend Micro Apex One as a Service・TrendAI Vision One Endpoint Security（Standard Endpoint Protection）で、修正パッチが公開されています。